🚊 🏇🏼 🚼 आक्रामक सुरक्षा में मशीन सीखना 🎆 ☹️ 🍺

आम धारणा के विपरीत, मशीन सीखना 21 वीं सदी का आविष्कार नहीं है। पिछले बीस वर्षों में, केवल पर्याप्त रूप से उत्पादक हार्डवेयर प्लेटफ़ॉर्म दिखाई दिए हैं ताकि किसी भी रोज़मर्रा की लागू समस्याओं को हल करने के लिए तंत्रिका नेटवर्क और अन्य मशीन लर्निंग मॉडल का उपयोग करना उचित हो। एल्गोरिदम और मॉडल के सॉफ्टवेयर कार्यान्वयन को भी कड़ा किया गया है।

मशीनें बनाने का प्रलोभन खुद हमारी सुरक्षा का ख्याल रखता है और लोगों की रक्षा करता है (बल्कि आलसी, लेकिन स्मार्ट) बहुत महान हो गया है। सीबी इनसाइट्स के अनुसार , लगभग 90 स्टार्टअप (उनमें से एक बिलियन अमेरिकी डॉलर से अधिक का अनुमान) दिनचर्या और नीरस कार्यों के कम से कम हिस्से को स्वचालित करने की कोशिश कर रहे हैं। बदलती सफलता के साथ।

सुरक्षा में आर्टिफिशियल इंटेलिजेंस की मुख्य समस्या अभी बहुत अधिक प्रचार और फ्रैंक विपणन बकवास है। "आर्टिफिशियल इंटेलिजेंस" वाक्यांश निवेशकों को आकर्षित करता है। लोग उद्योग में आते हैं जो एआई को घटनाओं का सबसे सरल सहसंबंध कहते हैं। अपने स्वयं के पैसे के समाधान के खरीदारों को वह नहीं मिलता है जिसकी उन्हें उम्मीद थी (भले ही ये उम्मीदें शुरू में बहुत अधिक थीं)।

जैसा कि सीबी इनसाइट्स मानचित्र से देखा जा सकता है, ऐसे दर्जनों क्षेत्र हैं जहां एमओ का उपयोग किया जाता है। लेकिन मशीन लर्निंग कई गंभीर सीमाओं के कारण अभी तक साइबर स्पेस की "जादू की गोली" नहीं बन पाई है।

पहली सीमा प्रत्येक विशेष मॉडल की कार्यक्षमता की संकीर्ण प्रयोज्यता है। एक तंत्रिका नेटवर्क एक काम अच्छी तरह से कर सकता है। यदि यह छवियों को अच्छी तरह से पहचानता है, तो वही नेटवर्क ऑडियो को पहचानने में सक्षम नहीं होगा। सूचना सुरक्षा के साथ एक ही बात है, अगर मॉडल को नेटवर्क सेंसर से घटनाओं को वर्गीकृत करने और नेटवर्क उपकरणों पर कंप्यूटर के हमलों का पता लगाने के लिए प्रशिक्षित किया गया था, तो यह उदाहरण के लिए, मोबाइल उपकरणों के साथ काम करने में सक्षम नहीं होगा। यदि ग्राहक एआई प्रशंसक है, तो वह खरीदेगा, खरीदेगा और खरीदेगा।

दूसरी सीमा प्रशिक्षण डेटा की कमी है। समाधान पूर्व-प्रशिक्षित हैं, लेकिन आपके डेटा पर नहीं। यदि स्थिति "ऑपरेशन के पहले दो हफ्तों में गलत-सकारात्मक मानती है" तब भी स्वीकार किया जा सकता है, तो भविष्य में "सुरक्षा कर्मियों" की थोड़ी-बहुत घबराहट होगी, क्योंकि उन्होंने एक समाधान खरीदा ताकि मशीन नियमित रूप से चले, और इसके विपरीत नहीं।

तीसरी और शायद अब तक की सबसे महत्वपूर्ण बात यह है कि एमओ उत्पादों को उनके निर्णयों के लिए जिम्मेदार नहीं बनाया जा सकता है। यहां तक कि "कृत्रिम बुद्धिमत्ता से सुरक्षा के अनूठे साधन" का डेवलपर भी ऐसे दावों का जवाब दे सकता है, "ठीक है, आप क्या चाहते थे? एक तंत्रिका नेटवर्क एक ब्लैक बॉक्स है! उसने इस तरह से फैसला क्यों किया, उसके अलावा कोई नहीं जानता। ” इसलिए, लोग अब सूचना सुरक्षा घटनाओं की पुष्टि करते हैं। मशीनें मदद करती हैं, लेकिन लोग अभी भी जिम्मेदार हैं।

जानकारी के संरक्षण के साथ समस्याएं हैं। उन्हें जल्द या बाद में हल किया जाएगा। लेकिन हमले का क्या? क्या MO और AI साइबर हमले की "चांदी की गोली" बन सकते हैं?

पेन्टेस्ट सफलता या सुरक्षा विश्लेषण की संभावना को बढ़ाने के लिए मशीन लर्निंग का उपयोग करने के विकल्प

संभवतः, अब MO का उपयोग करना सबसे अधिक लाभदायक है जहाँ:

तंत्रिका नेटवर्क पहले से ही सामना कर चुके लोगों के समान कुछ बनाने की जरूरत है;
ऐसे पैटर्न की पहचान करना आवश्यक है जो मनुष्य के लिए स्पष्ट नहीं हैं।

एमओ पहले से ही इन कार्यों के साथ बहुत अच्छा कर रहा है। लेकिन इसके अलावा, कुछ कार्यों में तेजी लाई जा सकती है। उदाहरण के लिए, मेरे सहयोगियों ने पहले ही अजगर और मेटास्प्लोइट का उपयोग करके हमले के स्वचालन के बारे में लिखा है।

मूर्ख बनाने की कोशिश कर रहा है

या सूचना सुरक्षा मुद्दों के कर्मचारी जागरूकता की जाँच करें। जैसा कि हमारे प्रवेश परीक्षण अभ्यास से पता चलता है, सोशल इंजीनियरिंग काम करती है - लगभग सभी परियोजनाओं में जहां इस तरह के हमले को अंजाम दिया गया था, हम सफल रहे।

मान लीजिए कि हमने पहले से ही पारंपरिक तरीकों (कंपनी की वेबसाइट, सोशल नेटवर्क, जॉब साइट, प्रकाशन इत्यादि) का उपयोग करके पुनर्स्थापित किया है:

संगठनात्मक संरचना;
प्रमुख कर्मचारियों की सूची;
ईमेल पता पैटर्न या वास्तविक पते
फोन किया, संभावित ग्राहक होने का नाटक किया, विक्रेता, प्रबंधक, सचिव का नाम पता किया।

अगला, हमें एक तंत्रिका नेटवर्क को प्रशिक्षित करने के लिए डेटा प्राप्त करने की आवश्यकता है जो किसी विशेष व्यक्ति की आवाज की नकल करेगा। हमारे मामले में, परीक्षण कंपनी के प्रबंधन से कोई। यह लेख बताता है कि एक मिनट की आवाज़ प्रामाणिक रूप से ढोंग करने के लिए पर्याप्त है।

हम सम्मेलनों में भाषणों की रिकॉर्डिंग की तलाश कर रहे हैं, हम खुद उनके पास जाते हैं और उन्हें रिकॉर्ड करते हैं, हम उस व्यक्ति के साथ बात करने की कोशिश करते हैं जिसकी हमें ज़रूरत है। यदि हम एक आवाज की नकल करने का प्रबंधन करते हैं, तो हम हमले के एक विशिष्ट शिकार के लिए एक तनावपूर्ण स्थिति बना सकते हैं।

- नमस्ते?
- विक्रेता Preseylovich, हैलो। यह निर्देशक नचलनिकोविच हैं। आपका मोबाइल फ़ोन जवाब नहीं दे रहा है अब आपको वेक्टर-फेक एलएलसी से एक पत्र प्राप्त होगा, कृपया देखें। यह जरूरी है!
"हाँ, लेकिन ..."
- यही है, मैं अब और बात नहीं कर सकता। मैं मीटिंग में हूं। संचार से पहले। उन्हें जवाब दो!

जवाब कौन नहीं देगा? आसक्ति को कौन नहीं देखेगा? सब देख लेंगे। और आप इस पत्र में कुछ भी लोड कर सकते हैं। उसी समय, निर्देशक के टेलीफोन नंबर या विक्रेता के व्यक्तिगत टेलीफोन नंबर को जानना आवश्यक नहीं है; आंतरिक कॉर्पोरेट पते पर ई-मेल पते को नकली करने की आवश्यकता नहीं है, जहां से एक दुर्भावनापूर्ण ईमेल आएगा।

वैसे, हमले की तैयारी (डेटा संग्रह और विश्लेषण) को आंशिक रूप से स्वचालित भी किया जा सकता है। हम अभी एक टीम में एक डेवलपर की तलाश कर रहे हैं जो इस तरह की समस्या को हल करता है और एक सॉफ्टवेयर पैकेज बनाता है जो किसी व्यवसाय की प्रतिस्पर्धी खुफिया और आर्थिक सुरक्षा के क्षेत्र में विश्लेषक के लिए जीवन को आसान बनाता है।

हम क्रिप्टोकरंसी के कार्यान्वयन पर हमला करते हैं

मान लीजिए कि हम हमले वाले संगठन के एन्क्रिप्टेड ट्रैफ़िक को सुन सकते हैं। लेकिन हम जानना चाहेंगे कि इस ट्रैफ़िक में वास्तव में क्या है। सिस्को के कर्मचारियों का यह शोध " एन्क्रिप्टेड टीएलएस ट्रैफ़िक (बिना डिक्रिप्शन) में दुर्भावनापूर्ण कोड का पता लगाना " विचार के साथ आया था। वास्तव में, अगर हम नेटफ्लो, टीएलएस और डीएनएस सेवा डेटा से डेटा के आधार पर दुर्भावनापूर्ण वस्तुओं की उपस्थिति का निर्धारण कर सकते हैं, तो हमें हमले के संगठन के कर्मचारियों और कर्मचारियों और कॉर्पोरेट आईटी सेवाओं के बीच संचार की पहचान करने के लिए समान डेटा का उपयोग करने से रोकता है?

माथे पर एक क्रिप्ट पर हमला करना अधिक महंगा है। इसलिए, स्रोत और गंतव्य के पते और बंदरगाहों पर डेटा का उपयोग करके, प्रेषित पैकेटों की संख्या और उनके आकार, समय के मापदंडों, हम एन्क्रिप्टेड ट्रैफ़िक को निर्धारित करने का प्रयास करते हैं।

इसके अलावा, P2p संचार के मामले में क्रिप्टो-गेटवे या अंत नोड निर्धारित करने के बाद, हम उन्हें समाप्त करना शुरू करते हैं, जिससे उपयोगकर्ता कम सुरक्षित संचार विधियों पर स्विच करने के लिए मजबूर हो जाते हैं जो हमला करना आसान होता है।

विधि के आकर्षण में दो फायदे हैं:

मशीन को वर्चुअलचोकी पर घर पर प्रशिक्षित किया जा सकता है। सुरक्षित संचार बनाने के लिए बहुत सारे मुफ्त और यहां तक कि ओपन-सोर्स उत्पाद भी हैं। "मशीन, यह इस तरह के एक प्रोटोकॉल है, यह इस तरह के और पैकेट आकार, इस तरह के और एंट्रोपी है। क्या आप इसे प्राप्त करते हैं? याद है? ” विभिन्न प्रकार के खुले डेटा पर यथासंभव कई बार दोहराएं।
"ड्राइव" करने की ज़रूरत नहीं है और सभी ट्रैफ़िक मॉडल से गुजरना है, बस मेटाडेटा पर्याप्त है।

नुकसान - मिटम को अभी भी प्राप्त करने की आवश्यकता है।

सॉफ्टवेयर बग और कमजोरियों की तलाश

संभवतः कमजोरियों की खोज, शोषण और सुधार को स्वचालित करने का सबसे प्रसिद्ध प्रयास DARPA साइबर ग्रैंड चैलेंज है। 2016 में, विभिन्न टीमों द्वारा डिज़ाइन किए गए सात पूरी तरह से स्वचालित सिस्टम अंतिम CTF जैसी लड़ाई में एक साथ आए। बेशक, विकास का लक्ष्य विशेष रूप से अच्छा घोषित किया गया था - वास्तविक समय में इन्फ्रास्ट्रक्चर, आईओटी, अनुप्रयोगों की सुरक्षा और लोगों की न्यूनतम भागीदारी के साथ। लेकिन आप परिणाम को एक अलग कोण से देख सकते हैं।

इस मामले में एमओ जिस पहली दिशा में विकास कर रहा है, वह है ऑटोमेशन की फजीहत। वही सीजीसी सदस्यों ने अमेरिकन फजी लोप का व्यापक उपयोग किया। सेटिंग के आधार पर, फ़ज़र्स ऑपरेशन के दौरान अधिक या कम आउटपुट उत्पन्न करते हैं। जहां बहुत सारे संरचित और कमजोर संरचित डेटा हैं, एमओ मॉडल पूरी तरह से पैटर्न की तलाश करते हैं। यदि एप्लिकेशन को "ड्रॉप" करने का प्रयास कुछ इनपुट के साथ काम करता है, तो एक मौका है कि यह दृष्टिकोण कहीं और काम करेगा।

स्थैतिक कोड विश्लेषण और निष्पादन योग्य फ़ाइलों के गतिशील विश्लेषण के साथ भी यही सच है जब एप्लिकेशन स्रोत कोड उपलब्ध नहीं है। तंत्रिका नेटवर्क न केवल कमजोरियों के साथ कोड के टुकड़ों के लिए देख सकते हैं, बल्कि ऐसे कोड के लिए जो कमजोर की तरह दिखते हैं। सौभाग्य से, पुष्टि (और निश्चित) कमजोरियों के साथ बहुत सारे कोड हैं। शोधकर्ता को इस संदेह को सत्यापित करना होगा। प्रत्येक नए बग के साथ, ऐसा एनएस अधिक से अधिक "स्मार्ट" हो जाएगा। इस दृष्टिकोण के लिए धन्यवाद, आप केवल पूर्व-लिखित हस्ताक्षर का उपयोग करने से दूर हो सकते हैं।

गतिशील विश्लेषण में, यदि कोई तंत्रिका नेटवर्क इनपुट डेटा (उपयोगकर्ता डेटा सहित), निष्पादन आदेश, सिस्टम कॉल, मेमोरी आवंटन और पुष्टि की गई कमजोरियों के बीच संबंध को "समझ" सकता है, तो यह अंततः नए लोगों की तलाश कर सकता है।

स्वचालित संचालन

अब विशुद्ध रूप से स्वचालित संचालन के साथ एक समस्या है -

इसाओ ताकेशु और अन्य योगदानकर्ता जो डीप एक्सप्लॉइट विकसित करते हैं, "मशीन लर्निंग का उपयोग करके पूरी तरह से स्वचालित पैठ परीक्षण उपकरण," इसे हल करने की कोशिश कर रहे हैं। उसके बारे में विवरण यहाँ और यहाँ लिखा गया है ।

यह समाधान दो मोड में काम कर सकता है - डेटा संग्रह मोड और जानवर बल मोड।

पहले मोड में, डीए हमला किए गए मेजबान पर सभी खुले बंदरगाहों की पहचान करता है और उन कारनामों को लॉन्च करता है जो पहले इस तरह के संयोजन के लिए काम करते थे।

दूसरे मोड में, हमलावर उत्पाद के नाम और पोर्ट नंबर को इंगित करता है, और शोषण, पेलोड और लक्ष्य के सभी उपलब्ध संयोजनों का उपयोग करके डीई "क्षेत्र द्वारा हिट" करता है।

डीप एक्सप्लॉइट स्वतंत्र रूप से प्रबलित प्रशिक्षण (प्रतिक्रिया के लिए धन्यवाद जो डीए पर हमला किया जा रहा सिस्टम से प्राप्त करता है) का उपयोग करके परिचालन तरीके सीख सकता है।

क्या AI अब पेंटेस्टर टीम की जगह ले सकता है?

शायद अभी नहीं।

मशीनों की पहचान की गई कमजोरियों के शोषण की तार्किक श्रृंखला के निर्माण में समस्याएं हैं। लेकिन यह ठीक है जो अक्सर पैठ परीक्षण के लक्ष्य की उपलब्धि को प्रभावित करता है। एक मशीन एक भेद्यता पा सकती है, यहां तक कि यह अपने आप पर एक शोषण भी बना सकती है, लेकिन यह एक विशिष्ट सूचना प्रणाली, सूचना संसाधनों, या संगठन की व्यावसायिक प्रक्रियाओं पर इस भेद्यता के प्रभाव की डिग्री का आकलन नहीं कर सकती है।

स्वचालित प्रणालियों का संचालन आक्रमण प्रणाली पर बहुत अधिक शोर उत्पन्न करता है, जो आसानी से सुरक्षात्मक उपकरणों द्वारा देखा जाता है। कारें अनाड़ी तरीके से काम करती हैं। इस शोर को कम करना और सोशल इंजीनियरिंग की मदद से सिस्टम का एक विचार प्राप्त करना संभव है, और इसके साथ ही मशीनें भी बहुत अच्छी नहीं हैं।

और कारों में कोई सरलता नहीं है और कोई मतलब नहीं है। हमारे पास हाल ही में एक परियोजना थी जहां परीक्षण करने के लिए सबसे अधिक लागत प्रभावी तरीका एक रेडियो-नियंत्रित मॉडल का उपयोग करना होगा। मैं सोच भी नहीं सकता कि कोई गैर-व्यक्ति ऐसा कैसे सोच सकता है।

स्वचालन के लिए आप क्या विचार दे सकते हैं?